Ghost Phishing คือเทคนิค Phishing รูปแบบใหม่ที่ถูกพบในแคมเปญชื่อ EvilTokens ซึ่งมุ่งโจมตีบัญชี Microsoft 365 ขององค์กรในสหรัฐอเมริกาและยุโรป โดยเฉพาะกลุ่มธุรกิจในภาคการเงิน เทคโนโลยี การผลิต การธนาคาร การศึกษา และ MSSP สิ่งที่ทำให้แคมเปญนี้แตกต่างจาก Phishing ทั่วไปอย่างมีนัยสำคัญ คือการใช้ HTML เข้ารหัสด้วย AES-256-GCM เพื่อซ่อนเนื้อหาอันตรายจากระบบสแกนอีเมลทุกชนิด และใช้ประโยชน์จาก Microsoft OAuth Device Code Flow เพื่อขโมย Access Token โดยไม่จำเป็นต้องรู้รหัสผ่านของเหยื่อเลย
สิ่งที่ทำให้กรณีนี้น่ากังวลคือ Ghost Phishing ไม่ได้พยายามหลอกให้ผู้ใช้กรอกรหัสผ่านในหน้าปลอม แต่ใช้ กระบวนการ Login ของ Microsoft จริงๆ เป็นเครื่องมือ ทำให้ผู้ใช้ไม่รู้สึกผิดปกติระหว่างถูกโจมตี และยังข้ามผ่าน MFA (Multi-Factor Authentication) ได้อย่างสมบูรณ์
วิธีการโจมตีที่รายงานพบ
แคมเปญ EvilTokens ใช้การโจมตีแบบหลายชั้น โดยเริ่มจากการส่งอีเมลที่มีลิงก์ไปยังหน้า Phishing ที่ซ่อนอยู่ภายใน HTML ที่เข้ารหัสด้วย AES-256-GCM ไฟล์ HTML นี้ถูกให้บริการผ่าน Cloudflare Worker และจะถอดรหัสตัวเองก็ต่อเมื่ออยู่ใน Browser ของเหยื่อเท่านั้น เนื่องจาก Key และ IV ถูกสร้างใหม่ในทุก Request ทำให้ระบบ Sandbox หรือ Email Security Gateway ที่พยายาม "จำลอง" การเปิดลิงก์ไม่สามารถถอดรหัสและวิเคราะห์เนื้อหาได้
รายงานระบุว่าเมื่อหน้า Phishing ถอดรหัสแล้วแสดงผลในเบราว์เซอร์ของเหยื่อ ผู้โจมตีจะใช้ Microsoft Device Code Flow ซึ่งเป็น Feature ที่ Microsoft สร้างไว้สำหรับการ Login บนอุปกรณ์ที่ไม่มีเบราว์เซอร์ (เช่น Smart TV หรือ CLI) โดยแสดง Device Code ให้เหยื่อนำไปกรอกในหน้า Login จริงของ Microsoft เมื่อเหยื่อทำตามขั้นตอน Microsoft จะออก Access Token ให้ผู้โจมตีโดยอัตโนมัติ โดยที่เหยื่อไม่รู้ตัวว่ากำลังมอบสิทธิ์การเข้าถึงบัญชีตัวเองให้คนอื่น
รายละเอียดทางเทคนิค
Ghost Phishing ใช้หลักการทำงาน 3 ชั้น ที่ทำให้หลบเลี่ยงการตรวจจับได้อย่างมีประสิทธิภาพ
ชั้นที่ 1 — Encrypted HTML Payload
เนื้อหาหน้า Phishing ถูกเข้ารหัสด้วย AES-256-GCM และถอดรหัสผ่าน Web Crypto API ใน Browser โดยตรง ทำให้การสแกน URL หรือการดาวน์โหลด HTML เพื่อวิเคราะห์ไม่เห็นเนื้อหาจริง
ชั้นที่ 2 — Rotating Key and IV
Key และ IV ที่ใช้ถอดรหัสถูกสร้างใหม่ทุก Request ทำให้การ Replay ภายใน Sandbox ของระบบ Email Security ไม่สามารถผลิตผลลัพธ์เดิมซ้ำได้
ชั้นที่ 3 — Microsoft OAuth Abuse
แทนที่จะขโมยรหัสผ่าน แคมเปญใช้ OAuth Device Code Flow เพื่อให้เหยื่อ Authorize Access Token โดยสมัครใจผ่านหน้า Login ของ Microsoft จริง Token ที่ได้จึงถูกต้องตามกฎหมาย ข้าม MFA ได้ และมีอายุการใช้งานยาวนาน
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีได้รับ Access Token ที่ถูกต้องและมีอายุนาน ทำให้เข้าถึงบัญชี Microsoft 365 ได้อย่างต่อเนื่อง
- สามารถอ่านอีเมล เข้าถึงไฟล์ใน SharePoint / OneDrive และส่งอีเมลในนามของเหยื่อได้ทันที
- Access Token สามารถใช้เข้าถึง Microsoft Teams, Outlook และบริการ Microsoft อื่นๆ ในองค์กร
- ความเสียหายอาจขยายเป็น Business Email Compromise (BEC) หรือการโจมตีต่อเนื่องภายในองค์กร
- เนื่องจากไม่มีการ Login ผ่านหน้าปลอม จึงไม่มี Alert จากระบบ Password Security แบบปกติ
สิ่งที่องค์กรควรตรวจสอบทันที
- ตรวจสอบ OAuth Application Consent และ Delegated Permission ใน Microsoft 365 Admin Center หา App ที่ได้รับสิทธิ์โดยไม่คาดคิด
- ตรวจสอบ Azure AD Sign-in Log หา Token ที่ถูก Issue ผ่าน Device Code Flow จาก IP หรือตำแหน่งที่ผิดปกติ
- ตรวจสอบ Audit Log หาการเข้าถึงอีเมล, ไฟล์ หรือ Teams ในช่วงเวลาที่ผิดปกติ
- สอบถามผู้ใช้ว่าเคยพบหน้าที่ขอให้กรอก Device Code บนเว็บไซต์ภายนอกหรือไม่
- ตรวจสอบ Conditional Access Policy ว่าครอบคลุม Device Code Flow Flow แล้วหรือยัง
แนวทางลดความเสี่ยง
- บล็อก OAuth Device Code Flow ที่ไม่จำเป็นผ่าน Conditional Access Policy หากองค์กรไม่มีการใช้งาน Feature นี้จริง
- จำกัดสิทธิ์ OAuth Token ด้วยหลัก Least Privilege และตั้ง Token Lifetime ให้สั้นที่สุดเท่าที่ใช้งานได้
- เปิดใช้ Microsoft Defender for Office 365 หรือ Safe Links เพื่อเพิ่มชั้นการป้องกัน URL
- ให้ความรู้ผู้ใช้ให้ตระหนักว่า Microsoft จะไม่ขอให้กรอก Device Code ผ่านลิงก์ในอีเมล — หากพบพฤติกรรมนี้ให้หยุดและรายงาน IT ทันที
- ตั้ง Alert สำหรับ Impossible Travel และ Anomalous Token Usage ใน Microsoft Sentinel หรือระบบ SIEM ที่ใช้งานอยู่
- Revoke Token และ Active Session ทันทีสำหรับบัญชีที่สงสัยว่าถูกโจมตี
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้สะท้อนให้เห็นว่า Phishing ในปี 2026 ไม่ใช่แค่การส่งลิงก์ปลอมให้คลิกอีกต่อไป ผู้โจมตีได้ยกระดับเทคนิคถึงขั้นใช้ระบบรักษาความปลอดภัยของ Microsoft เองเป็นเครื่องมือ และใช้การเข้ารหัสเพื่อซ่อนตัวจากระบบตรวจจับรุ่นเก่า
การพึ่งพาเฉพาะ Email Security Gateway หรือ Spam Filter ไม่เพียงพออีกต่อไป องค์กรจำเป็นต้องมีทั้ง Zero Trust Architecture, Identity Protection, Continuous Monitoring และการให้ความรู้ผู้ใช้อย่างสม่ำเสมอ เพื่อรับมือกับภัยคุกคามที่มีความซับซ้อนในระดับนี้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, Abnormal AI, Security Boulevard, CyberSecurityNews ]